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基于 T_NAG 模型 的 攻击 路 径 预测 方法 研究 ” 
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(河南 理工 大 学 计算 机 科学 与 技术 学 院 , 河南 焦作 454003) 


摘 要 : 为 了 更 好 刻画 攻击 者 的 攻击 轨迹 ,设计 出 一 种 基于 TT NAG(time attribute network attack graph) 模 型 的 路 径 预 
测 方 法 。 首 先 ， 提 出 新 的 攻击 图 模型 T NAG, 根据 实时 行为 轨迹 对 攻击 者 能 力 加 以 区 分 ; 其 次 , 依据 攻击 者 具有 不 
同 能 力 的 特性 ， 提 出 攻击 意向 的 概念 ， 统 筹 考虑 操作 风险 与 攻击 收益 ， 将 时 间 衰 减 参数 引入 到 攻击 意向 计算 中 ， 并 
设计 出 一 种 基于 攻击 者 能 力 的 漏洞 利用 率 量化 方法 ; 最 后 ， 将 攻击 意向 与 漏洞 利用 率 进 一 步 融入 到 对 路 径 可 达 概 率 
的 考量 中 ， 给 出 预测 攻击 路 径 的 IntenAbi-PathPre 算法 。 实 验 结果 表明 ,该 方法 可 以 有 效 去 除 攻击 图 中 的 宛 余 , 并 且 
使 攻击 路 径 预测 的 准确 性 得 到 明显 提高 。 
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Research on attack path prediction method based on t nag model 


Zhai Haixia, Lu Yuemengi, Wang Hui, Ao Shan 
pe (College of Computer Science & Technology, Henan Polytechnic University, Jiaozuo 454003, Henan, China) 


Abstract: In order to depict the attacker's attack trajectory better, this paper proposed a path prediction method based on 
T_NAG(time attribute network attack graph) model. First of all, proposed a new attack graph model T_NAG to distinguish 
the attacker's ability according to the real-time behavior trace. Secondly, according to the characteristics of the attacker's 
different capabilities, proposed the concept of attack intention, considered the operation risk and attack profit as a whole and 
introduced the time decay parameter into the intention calculation, and designed a vulnerability utilization quantification 
method based on the attacker's capabilities. Finally, further integrated attack intention and vulnerability utilization into the 
consideration of path reachability probability, and given the IntenAbi-PathPre algorithm to predict the attack path. The 
experimental results show that this method can effectively remove the redundancy in the attack graph and improve the 
accuracy of attack path prediction. 

Key words: attack graph; path prediction; attacker's will; path accessibility 


0 引言 测 攻击 意图 的 方法 。 叶 子 维 等 人 名 对 攻击 图 模型 的 基本 要 素 

二 进行 分 析 ， 给 出 了 攻击 图 的 定义 和 简要 介绍 ， 并 总 结 了 攻击 
互联 网 的 广泛 应 用 使 社会 生产 和 人 类 生活 更 加 高 效 便利 ， ”图 模型 在 应 用 方面 的 现状 和 存在 的 问题 。 秦 虎 等 人 外 以 攻击 
但 是 存在 于 复杂 网 络 中 的 大 量 漏洞 必然 会 引发 出 诸多 网 络 安 。 模式 库 和 网 络 环境 的 配置 为 依据 ,在 对 攻击 行为 进行 分 析 后 ， 
CS 全 威胁 。 国 家 互联 网 应 急 中 心 (CNCERT) 发 布 的 《2018 年 我 。 认为 攻击 者 攻击 能 力 的 变化 应 该 以 取得 权限 的 提升 为 标志 ， 
C5 国 互联 网 网 络 安全 态势 综述 》 中 指出 ，2018 年 计算 机 病毒 、 并 提出 基于 攻击 者 能 力 提升 模型 的 攻击 图 生成 方法 。 
冉 虫 、 木 马 程序 等 恶意 程序 日 均 传 播 超 过 500 万 次 四。2014 ”Mohammad 等 人 (0 指出 单纯 使 用 静态 漏洞 概率 来 预测 风险 
年 以 来 CNVD 漏洞 平台 收录 的 安全 漏洞 数量 逐年 上 升 , 平均 的 局 限 性 ， 在 预测 过 程 中 使 用 对 实时 入 侵 警 报 和 依赖 关系 图 
增长 率 高 达 15%。 美国 Positive Technologies 公司 公布 的 最 新 等 信息 要 素 进行 提取 分 析 ， 并 提出 了 一 种 基于 信息 整合 的 网 
网 络 安全 报告 显示 ，2018 年 全 球 范围 内 有 7.65 亿 用 户 遭 受 。” 络 攻击 预测 方法 。 通 过 以 上 的 研究 成 果 ， 本 文 可 以 得 知 : 一 
到 不 同 程度 的 网 络 攻击 。 根据 以 色 列 Radware 公司 发 布 的 最 。 方面 攻击 者 在 对 漏洞 的 利用 程度 、 规 避 攻 击 可 能 造成 的 风险 
新 调查 报告 ，34% 的 用 户 在 接受 采访 时 认为 应 用 程序 漏洞 是 。 等 方面 的 水 平 高 低 存 在 的 差异 对 网 络 的 安全 性 是 有 一 定 影响 
2019 年 严重 影响 网 络 安全 性 的 首要 因素 中。 的 ， 并 且 影 响 程度 可 以 通过 攻击 过 程 中 客观 因素 的 变化 情况 
对 于 企业 级 网 络 来 说 ， 在 配置 防护 措施 时 需要 预知 网 络 。 得 知 。 另 一 方面 ， 攻 击 行为 产生 的 大 量 信息 要 素 都 可 以 辅助 
中 存在 的 风险 ， 从 而 有 针对 性 地 保护 重点 区 域 和 节点 。 而 攻 ”于 对 攻击 行为 的 预测 ， 但 前 提 是 需要 将 各 项 要 素 对 于 路 径 可 
击 图 技术 中 可 以 直观 地 展示 攻击 方 可 能 采取 的 攻击 路 径 ,， 通 。 达 性 和 网 络 安全 性 的 影响 关系 和 变化 趋势 进行 分 析 ， 并 使 用 


I 


过 构建 攻击 图 模型 对 网 络 的 安全 性 进行 分 析 ， 网 络 管理 者 不 恰当 的 数学 模型 表示 。 

仅 可 以 筛选 出 需要 加 强 保护 的 重要 节点 上 , 还 可 以 在 攻击 发 文献 [11] 基 于 攻击 图 模型 提出 了 一 种 攻击 路 径 生 成 算法 

生 时 预测 后 续 的 攻击 目标 !%71。 段 设 期 望 得 到 K 个 可 达 概 率 最 大 的 路 径 ， 根 据 K 值 动态 调 
近年 来 ， 众 多 学 者 不 仅 以 攻击 图 模型 作为 分 析 网 络 安全 ” 整 概率 分 布 ， 通 过 计算 攻击 路 径 的 累积 可 达 概 率 实 现 对 路 径 


性 的 工具 ， 也 基于 不 同 角度 提出 了 很 多 评估 网 络 安全 性 和 预 ”的 预测 。 该 算法 在 量化 节点 可 达 概 率 时 ， 只 考虑 漏洞 利用 率 
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一 个 因素 ， 缺 乏 对 攻击 事件 本 身 的 建 模 与 分 析 。 


文献 [12] 使 用 贝 叶 斯 攻击 图 对 网 络 动态 风险 进行 评估 ， 
充分 考虑 到 了 攻击 事件 对 于 节点 后 验 概率 的 动态 影响 ， 并 运 
用 贝 叶 斯 推理 的 方法 预测 攻击 路 径 。 但 是 攻击 事件 的 成 功 概 
率 依靠 专家 经 验 ， 忽 略 了 攻击 事件 发 生 后 资源 节点 被 占有 的 
概率 与 攻击 行为 的 具体 情景 相关 ， 影 响 预测 的 准确 性 。 


文献 [13] 将 攻击 图 映射 为 Markov 链 ， 并 提出 Markov 链 
中 节点 的 状态 转移 概率 算法 。 但 状态 转移 概率 的 计算 依赖 于 
CVSS 中 的 漏洞 可 用 性 指标 这 一 静态 因素 ， 而 没有 考虑 到 攻 
击 者 能 力 对 漏洞 可 用 性 的 动态 影响 ， 所 以 攻击 路 径 的 预测 准 
确 度 较 低 。 

文献 [14] 假 设 攻 击 者 是 理性 的 ， 在 定性 分 析 影 响 攻击 代 
价 和 收益 的 因素 的 基础 上 ， 分 别 给 出 了 攻击 代价 和 攻击 收益 
的 量化 算法 , 并 将 代价 -收益 模型 引入 到 节点 可 达 性 的 计算 中 ， 


从 而 实现 对 攻击 路 径 的 预测 。 但 是 在 量化 节点 可 达 性 的 时 候 
没有 考虑 到 攻击 耗 时 产生 的 影响 。 
文献 [15] 提 出 了 一 种 基于 风险 流 攻击 图 的 网 络 风 险 评估 


方法 ， 风 险 流 攻击 图 不 仅 用 来 描述 网 络 结构 ， 同 时 也 可 以 对 
攻击 场景 建 模 。 论 文 着 眼 于 分 析 入 侵 事件 与 网 络 风险 之 间 的 


向 的 影响 ， 和 攻击 意向 对 于 路 径 预测 的 影响 ， 本 文 以 属性 攻 
击 图 为 基础 提出 了 引入 时 间 属 性 和 攻击 
T_NAG 模型 ， 用 来 评估 网 络 安全 性 。 
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定义 5 攻击 图 7T_NAG(R,4,E,9,c,W) ， 其 中 : 


a) 为 资源 
起 始 资 源 节 点 集合 , 即 
Ru 为 中 间 资 源 节点 集合 ， 


始 到 占有 目标 资源 节点 的 过 程 中 需要 占 


集合 ; 


Rs 为 目 


站 点 集合 


标 资 源 节点 集合 ， 


人 é 口 ， 


记 为 R={RoURwauURs} 。 其 中 Ro 为 
初始 时 刻 攻击 者 占有 资源 节点 的 集合 ; 


也 就 是 攻击 者 从 初始 资源 节点 开 
的 中 间 资 源 节点 的 
即 攻击 者 最 终 期 望 占有 的 资 
源 节点 集合 。r eR 表示 独立 的 资源 节点 , 记 为 =(rD，, hD， 
jur )， 其 中 wD 表示 资源 节点 的 唯一 编号 ，WD 表示 资源 所 属 
网 络 设备 的 编号 ， jur 表示 资源 的 
限 ， 或 者 信介 


体内 容 如 某 一 级 别 的 权 


b) 4 为 攻击 节点 集合 ， 记 为 4={favo…dj 。 其 中 wes4 表 


示 攻 下 
aETime )。 二 


编号 ， 
时 刻 。 


fF 者 发 动 的 


中 aD 表示 攻 了 


原子 攻击 ， 记 作 4=(alD，vD， aSTime， 
名 称 ，wp 表示 攻击 所 利用 漏洞 的 


aSTime 表示 攻击 开始 的 时 刻 ， aETime 表示 攻击 结束 的 


c)E 表示 攻击 图 中 的 有 向 边 集合 , 记 为 已 ={EvE] 。 其 中 


联系 ， 然 后 提出 基于 模糊 评价 的 风险 评 佑 方案。 但 是 从 入 侵 
事件 中 提取 到 的 大 量 信息 只 用 来 量化 网 络 风 险 ， 没 有 利用 相 
关 信息 对 攻击 行为 的 收益 和 耗 时 、 攻 击 者 表现 出 的 水 平 差 异 
等 其 他 影响 网 络 安全 性 的 因素 加 以 分 析 。 
文献 [16] 设 计 一 种 基于 时 间 增 益 补偿 率 的 攻击 路 径 优 化 
方案 ,将 攻击 行为 所 反映 的 时 间 特 征 融 入 到 攻击 图 模型 当中 ， 


US 


卫 


十 


认为 攻击 耗 时 可 以 被 看 做 攻击 成 本 中 的 时 间 成 本 因素 ， 重 点 
分 析 攻 击 耗 时 与 节点 可 达 概 率 的 关联 性 ， 根 据 对 时 间 成 本 的 
增长 情况 的 量化 消除 路 径 元 余 。 但 是 文中 时 间 成 本 的 量化 值 
主要 取决 于 元 操作 序列 耗费 时 长 的 累加 ， 这 导致 了 时 间 成 本 
的 值 域 不 可 控制 ， 对 风险 分 析 的 准确 性 造成 影响 。 


五 ={ej| er =< ri,a; >, 


点 7 的 条 件 下 才能 发 动 攻 击 a;; E2= 

表示 攻击 者 发 动 攻击 % 是 为 了 占有 后 缚 
d) 2 为 攻击 标志 集合 

久 =true ， 攻 击 者 可 


针对 已 有 研究 成 果 对 影响 网 络 安全 性 的 因素 考虑 不 全 面 ， 
预测 准确 度 低 等 情况 ， 本 文 提出 了 基于 攻击 者 意向 的 攻击 图 
模型 T_NAG, 对 影响 攻击 者 攻击 意向 的 因素 逐一 进行 分 析 
给 出 量化 方法 ， 依 据 攻击 者 能 力 等 级 对 漏洞 利用 率 计算 方法 


加 以 改进 ， 最 后 将 攻击 者 意愿 与 漏洞 利用 率 结合 对 攻击 图 进 
行 优化 ， 并 计算 路 径 的 可 达 概 率 ， 通 过 比较 路 径 可 达 概 率 值 


预测 攻击 者 可 能 采取 的 攻击 路 径 。 
1 ”攻击 图 T_NAG 模型 
为 了 分 析 攻 击 者 行为 ， 以 便于 更 加 准确 清楚 地 描述 攻击 
图 模型 ， 首 先 引 入 一 些 变量 的 定义 。 
定义 1 网 络 安全 漏洞 v 使 用 二 元 组 (wD ,vinfo ) 表 示 。 
其 中 wp 是 漏洞 的 唯一 编号 ;vifo 表示 对 该 漏洞 的 描述 。 


意向 。 


击 , 如 果 咏 = 名 se , 表示 攻 生 


rie RoU Runia} ， 表示 攻 页 者 在 


5 有 前 序 资源 节 


{ei|ei=< ,ri>,rie Runa Re.}, 


=or ,表示 攻击 者 占 扫 
可 能 发 生 。 如 果 so(1)= 


and ， 


牛 是 所 有 前 驱 节 点 攻击 发 4 


C; 


朵 资源 节点 。 
。 当 %e98 且 nneR 时， 
能 在 获得 资源 之 后 对 资源 节点 5 发动 攻 
者 放弃 对 资源 节点 ”5 发动 攻 击 。 

e)5 表示 节点 与 前 驱 节 点 之 间 的 逻辑 关系 ，s ef{and,or} 。 
如 果 s(a)=and ， 那 么 攻击 ai 发 生 的 前 提 是 攻击 者 占据 所 有 前 
驱 节 点 资源 ; 如 果 sla) 
源 ， 攻 击 a 到 
5 有 的 前 提 条 


如 果 


虽 任 意 前 驱 节点 资 
那么 资源 节点 5 被 


如 果 ol)=or ,只 


要 前 驱 节 点 任意 
人 ) 攻 击 权重 集合 
记 为 w@=Qul,n) ， 


攻击 发 4 


W 。 对 于 eeE:， 


E， 资 源 节点 5 就 可 能 被 
对 应 的 权重 wew ， 


都 


其 中 vul 表示 漏洞 


可 利 


> 


日 性 ， 


EE 有。 


x 表示 攻击 者 


定义 6 攻击 者 能 力 等 级 4x_a2i 表示 对 不 同 攻 击 者 攻 


te 


定义 7 


级 。 对 于 


Es 任 


上 f 能 力 的 统一 量化 ， 记 作 A _abie{low,mid,high} 。 


攻击 路 径 PATH 由 二 元 组 
PATH =(Seg,Att_abi) 。 其 中 Segq 表示 路 径 序列 ， 
击 者 能 力 等 于 


组 成 ， 记 作 
Att _abi 表示 攻 


标 节点 neR， 如果 从 起 始 节点 
开始 , 存在 一 组 有 序 节点 序列 "asrsas.sam 
相 邻 节点 的 边 满足 <ma >e 或 者 <an>eE:， 那么 就 将 节点 序 


, 序列 中 任意 两 个 


列 称 作 一 条 路 径 序 列 ， 记 做 Seq={<roa>,<avri>,...,<a,r >} 。 


定义 2 网 络 设备 h 包括 网 络 中 的 主机 和 防火 墙 等 ,用 
[元 组 ( hID, Services , V , hValue ) 表 示 。 其 中 hD 表示 网 络 设 
备 的 编号 ;Serices 表示 网 络 设备 上 运行 服务 的 集合 ; 'Y 表示 
该 网 络 设备 的 脆弱 性 信息 集合 ,对 于 任 一 vev 由 定义 1 描述 ; 
hValue 表示 网 络 设备 的 资产 价值 。 将 网 络 中 所 有 设备 组 成 的 
集合 用 HH 表示 。 
定义 3 攻击 意向 < 表示 对 攻击 者 发 起 攻击 的 主观 倾 
向 的 量化 ， 记 作 <s(0.D ， 数 值 越 大 表示 攻击 意向 越 强 。 
定义 4 漏洞 可 利用 性 vw 表示 攻击 者 利用 特定 漏洞 发 
起 原子 攻击 的 难 易 程度 , 记 作 vu(v)e(0,D ，vul 值 越 大 , 漏洞 
v 可 利用 性 越 强 ， 发 起 原子 攻击 的 难度 越 低 。 

根据 已 有 研究 成 果 ， 攻 击 图 模型 主要 分 为 状态 攻击 图 和 
属性 攻击 图 。 其 中 属性 攻击 图 0 以 影响 网 络 安全 性 的 要 素 作 
为 独立 顶点 ， 有 效 地 控制 了 生成 攻击 图 的 规模 ， 相 比 于 状态 
攻击 图 ， 更 适用 于 大 型 网 络 。 为 了 体现 时 间 参 数 对 于 攻击 意 


Ei 


Et 


现 


- 


定义 8 ”攻击 模式 ”表示 攻击 者 实施 攻击 的 行为 的 一 般 
方式 。 攻 击 行为 发 生 的 前 提 是 依赖 特定 资源 比如 访问 被 攻击 
主机 上 某 项 服务 ， 获 得 被 攻击 主机 的 信任 等 。 攻 击 的 目的 是 
进一步 获取 更 多 资源 。 如 图 1 所 示 ， 在 连续 攻击 中 上 一 次 攻 
击 获取 的 资源 就 是 下 一 次 攻击 发 生 的 前 提 资 源 。 攻 击 者 的 一 
系列 攻击 行为 ， 通 过 资源 节点 有 机 地 联系 在 一 起 ， 形 成 了 特 
定 的 攻击 意图 。 

Em 
资源 1 [as i (机 骨 a | : 
图 1 攻击 过 程 示 意 
Fig.1 Attack process Schematic 

定义 9 攻击 子路 径 根据 对 攻击 模式 的 分 析 , 由 于 原子 
攻击 4 的 完成 总 是 依赖 于 前 提 资 源 *， 而 攻击 的 目的 是 后 旨 
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资源 5», 所 以 将 <ma>s 互 和 <un>s 囊 整体 考虑 , 作为 路 径 的 


最 小 单元 ， 使 用 7 一 an 表示 。 
2 ”攻击 路 径 预 测 


2.1 攻击 者 能 力 等 级 
考虑 到 实际 应 


| 


成 功 的 概率 不 仅 与 复杂 度 


做 法 ， 提 高 结果 的 可 信 程 度 。 
文献 [18] 提 出 并 证 明了 


的 概率 分 布 。CVSS09] 中 使 用 攻击 复杂 度 
利用 的 难度 分 为 zw ， Mid ， 


Higsh 共 3 个 等 级 ， 攻 击 成 功 的 


中 不 同 能 力 的 攻击 者 对 于 同一 漏洞 的 利 
程度 存在 差别 ， 从 而 对 攻击 结果 产生 一 定 的 影响 ， 所 以 攻 
关 ， 也 与 攻击 者 能 力 相关 。 本 
文 以 攻击 所 需 漏洞 的 脆弱 性 利用 难度 为 根据 ， 对 攻击 者 能 
作出 区 分 。 这 样 可 以 避免 以 主观 经 验 确定 攻击 者 能 力 的 传统 


同一 攻击 行为 结果 推断 出 的 攻 
击 者 能 力 等 级 的 概率 分 布 正比 于 攻击 者 实施 攻击 成 功 或 失败 


参数 4c 将 脆弱 性 被 


概率 越 高 , 攻击 复杂 度 Ac 的 取 值 就 越 高 。 


寻 此 定义 攻击 者 的 


能 力 等 级 等 于 攻击 者 实施 攻击 过 程 中 利 


高 的 漏洞 的 等 级 。 假 设 攻击 者 发 动 的 一 系列 连续 攻击 所 利用 


漏洞 集合 中 难度 最 


与 传统 方法 不 同 ， 如 果 攻 击 者 能 力 较 弱 ， 根 据 式 (1)， 能 力 等 
级 Att_abi 较 低 ，r”-w 取 值 接近 于 0， 能 力 因子 Aw 的 值 不 会 
过 低 ， 而 是 接近 于 1。 此 外 能 力 因 子 取 值 范围 更 加 平缓 ， 避 
免 出 现 能 力 等 级 不 同 的 情况 下 能 力 因 子 取 值 差距 过 大 的 情况 。 
2.2.3 攻击 收益 

使 用 攻击 收益 衡量 原子 攻击 成 功 的 情况 下 ， 攻 击 者 获得 
的 资源 对 其 攻击 意图 的 有 利 程度 。 攻 击 收益 有 以 下 性 质 : 

a) 攻击 获得 收益 的 价值 最 多 只 能 等 于 攻击 目标 资产 ” 
的 价值 。 

b) 收益 价值 量 是 根据 攻击 行为 对 目标 主机 造成 的 影响 ， 即 
获取 目标 主机 权限 的 变化 情况 ， 结 合 目标 资源 价值 共同 确定 。 
攻击 行为 造成 安全 事件 的 发 生 。 根 据 事 件 发 生 的 形式 和 
影响 范围 ， 安 全 事件 一 般 可 分 为 信息 泄露 、 远 程 登录 、 绕 过 
身份 认证 、 获 得 用 户 权 限 和 获得 Root 权限 共 5 种 类 型 。 由 于 
ES 式 和 影响 范围 的 差异 ， 不 同类 别 安全 事件 的 严重 程度 存在 
差别 ， 而 安全 事件 的 严重 程度 与 攻击 者 获得 的 收益 是 正 相关 
的 。 事 件 越 严重 ， 意 味 着 通过 攻击 获取 了 更 高 的 操作 权限 ， 
从 而 得 到 更 高 比例 的 收益 。 


的 漏洞 集合 为 Y ， 攻 击 者 能 力 等 级 的 计算 公式 如 下 : 


Att_abi=max(Ac(v)),veV (1) 


2.2 攻击 者 意向 


坦 币 ， 


击 收益 的 影响 ， 


攻击 者 对 攻击 路 径 的 选择 不 仅 受到 操作 风险 和 攻 
同时 也 受到 动态 因素 如 攻击 者 能 力 和 攻击 耗 


时 的 影响 。 实 施 不 同 攻 击 行为 的 攻击 者 


J 能 


有 不 同 的 攻击 


能 力 ， 而 能 力 等 级 会 对 攻击 者 意向 的 取 值 产生 影响 。 假 设 攻 


击 者 是 理性 的 ,那么 在 攻击 过 程 中 必然 会 


考虑 时 间 成 本 因素 ， 


所 以 根据 安全 事件 的 严重 程度 , 将 攻击 收益 分 为 G1~G5 
5 个 等 级 ， 其 中 G1 表示 最 低 等 级 的 收益 ，G5 表示 最 高 等 
的 收益 。 为 了 便于 计算 ， 需 要 将 收益 等 级 量化 ， 故 定义 收 
刀子 pe (0,1 ， 表 示 通 过 攻击 行为 ， 攻 击 者 获得 收益 与 目标 
源 价值 的 比值 ， 收 益 等 级 越 高 ， 收 益 因 子 的 取 值 就 越 大 。 
等 级 、 安 全 事件 名 称 和 收益 因子 取 值 的 对 应 情况 由 表 1 
标 资源 的 价值 根据 目标 资源 的 重要 性 确定 ， 资 源 越 
， 其 价值 越 高 。 那 么 通过 攻击 hw 得 到 的 收益 Gain 为 


加 让 污 演 脉 注 》 


疾 压 上 委 
- 


如 果 攻 击 行为 已 经 消耗 很 长 的 时 间 ， 但 是 却 没 有 进展 ， 那 么 
攻击 者 的 攻击 意向 就 会 大 幅 降低 。 根 据 上 述 分 析 ， 引 入 能 


2.2.1 风险 因子 


因子 和 时 间 因 子 ， 对 攻击 者 意向 进行 动态 的 分 析 与 评估 。 


风险 因子 Risk 表示 单个 攻击 行为 造成 风险 的 严重 程度 。 


洞 的 影响 性 越 大 , 利用 该 漏洞 发 起 的 攻击 


Risk(a) = Impact(v) 


风险 因子 的 取 值 与 攻击 所 利用 漏洞 自身 的 属性 相关 ， 一 个 漏 


行为 的 风险 就 越 高 。 


攻击 造成 的 风险 越 严 重 ， 攻 击 行 为 被 网 络 管理 者 发 现 的 可 能 
性 就 越 大 ， 因 此 攻击 成 功 需 要 花费 的 代价 就 越 高 ， 攻 击 者 意 
向 就 会 相应 减弱 。 因 此 可 以 使 用 漏洞 影响 性 来 衡量 攻击 产生 
的 风险 。 设 攻击 “ 利用 的 漏洞 为 "， 参 照 CVSS 中 漏洞 影响 
性 的 计算 公式 ， 得 到 风险 因子 的 计算 公式 : 


=10x(-C)x(G-Dxd-A) O) 


其 中 Impact 、A4rr、 


Atr=T?w x0(a) 分 别 表示 CVSS 中 漏洞 的 机 


密 性 指标 取 值 、 完 整 性 指标 取 值 和 可 |} 


性 指标 取 值 。 攻 击 风 


分 IJmpact 的 取 值 在 0-10 之 间 ， 取 值 越 高 表示 漏洞 造成 的 影响 


越 大 。 
2.2.2 能 力 因 子 


能 力 因子 4r 表示 攻击 者 能 力 对 风险 因子 的 影响 程 


Atr= 7 x O(a) 


奖 


o 


G3) 


式 (3) 是 前 人 提出 的 能 力 因子 的 计算 方法 ， 其 中 7 是 能 


系数 ， Time 为 攻击 次 数 ， 
验 给 出 。 这 种 方法 使 / 
同 攻 击 者 之 间 的 能 力 差 距 。 如 果 攻 击 者 外 
使 攻击 复杂 程度 有 所 减少 ， 由 于 攻击 者 和 


0(q)>1 是 风险 系数 ， 其 值 由 专家 经 
攻击 次 数量 化 攻击 能 力 ， 没 有 考虑 不 


EE 力 等 级 较 高 ， 就 会 
引力 等 级 与 攻击 风险 


成 反比 关系 ， 所 以 攻击 者 发 动 攻击 的 意向 加 强 。 改 进 后 的 能 


力 因子 计算 公式 如 下 : 


A 


po exp fr Ar abi 一 人 
e 


(4) 


Gain(a) = (pr — pe) x O(n) (5) 
其 中 prow(a) 是 如 果 攻 击 成 功 ， 攻 击 者 将 要 达到 的 收益 等 级 所 


对 应 的 收益 因子 ， pm(an) 是 本 次 攻击 发 生 之 前 ， 攻 击 者 已 经 
获得 的 收益 等 级 所 对 应 的 收益 因子 ，w%(n) 是 攻击 的 目标 资源 
;的 价值 。 
表 1 收益 等 级 表 
Tab. 1 Income scale 
收益 等 级 属性 收益 因子 
Gl 信息 泄露 0.2 
G2 远程 登录 0.3 
G3 绕 过 身份 认证 0.4 
G4 获得 用 户 权 限 0.7 
G5 获得 Root 权限 1.0 


2.2.4 时 间 系 数 
除了 风险 、 能 力 和 收益 这 三 个 因素 外 ， 攻 击 所 耗费 时 长 
也 会 对 攻击 意向 产生 一 定 程度 的 影响 。 

本 文 定义 时 间 系 数 fl(e) ， 以 表示 攻击 时 长 对 攻击 意向 的 
响 。 有 具体 来 说 ， 攻 击 所 花费 的 时 长 是 影响 攻击 意向 的 主要 
素 。 漏 洞 利用 难度 一 定 的 条 件 下 ， 攻 击 时 间 则 越 短 ， 攻 了 
句 则 越 强 。 随 着 花费 时 间 的 增多 ， 攻 击 者 意向 逐步 降低 。 
花费 时 间 非 常 长 的 情况 下 ， 时 间 系 数 取 值 接近 于 0。 此 外 
义 时 间 衰 减 系数 a ， 用 来 调节 时 间 系 数 的 值 ， 使 时 间 系 数 
取 值 更 加 符合 一 般 情 况 。 使 用 时 间 系 数 Fe) 量化 时 间 衰 减 ， 
计算 公式 如 下 : 


[es 


个 就 业 溃 团 潭 


志 


1 
Hm l+aln|aNTime—aSTime| (6) 
其 中 Risk 是 时 间 衰 减 系 数 ， 取 值 根据 攻击 耗 时 的 具体 情况 确 
定 。 如 果 攻 击 者 在 发 动 的 攻击 耗 时 较 长 ， 那 么 4 适合 取 较 小 
的 值 ， 耗 时 较 短 ， 那 么 “适合 取 较 大 的 值 。 aNTime 表示 当前 
时 刻 ，aSTime 表示 攻击 开始 时 刻 。Xo) 的 取 值 范围 是 [0,1 。 相 


其 中 r<1 是 能 


系数 ，44- 吃 表示 攻击 者 能 力 等 级 ， 调 节 因 


子 ss(0D 用 来 对 能 力 因 子 的 取 值 进行 修 


E， 因 此 Atr (0,D 。 


比 于 前 人 提出 的 计算 方法 ， 时 间 系 数 f(a) 有 明确 的 取 值 范 
和 优化 的 计算 方法 ， 从 而 更 好 地 反映 时 间 成 本 对 于 攻击 意 


未 融 
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的 影响 。 

2.2.5 攻击 者 意向 分 析 

使 用 传统 方法 分 析 攻 击 的 可 能 性 时 ， 往 往 只 量化 攻击 付 
出 的 代价 ， 如 果 攻 击 代价 高 于 设 定 的 闵 值 ， 就 放弃 对 该 节点 
的 攻击 。 虽 然 某 些 攻击 风险 较 大 ， 所 需 代价 偏 高 ， 但 是 通过 
攻击 可 能 会 得 到 更 高 价值 的 资源 ， 这 种 情况 下 攻击 者 的 意向 
仍然 较 强 。 以 漏洞 风险 值 与 攻击 收益 的 比值 为 基础 ， 结 合 攻 
击 者 能 力 和 时 间 系 数 对 攻击 意向 影响 性 的 分 析 ， 提 出 新 的 攻 
击 者 意向 计算 公式 : 


K(a)= f(a) 


Gain(a)— Risk(a)x Atr 
Gain(a) (7) 


其 中 Gain 为 收益 ，Risk 为 漏洞 风险 值 ，4z 为 能 力 因 子 ，< 表 
示 攻 击 者 意愿 ， 取 值 越 大 表示 攻击 者 意愿 越 强 。 规 定 只 有 妆 
x 达到 一 定 的 值 ， 攻 击 者 才 有 可 能 发 动 攻 击 。 攻 击 过 程 中 ， 
时 间 成 本 动态 变化 ， 随 着 时 间 成 本 增多 ， Ao) 值 逐 渐变 小 ， 
攻击 意向 逐渐 降低 ， 直 到 攻击 意向 x 的 取 值 小 于 阔 值 ， 即 表 
示 放 弃 攻 击 。 
2.3 路 径 预测 算法 
2.3.1 路 径 可 达 概 率 

在 获得 攻击 路 径 相 关 信 息 并 确定 攻击 者 意向 计算 方法 的 
基础 上 ， 给 出 路 径 可 达 概 率 计 算 的 方法 ， 结 合 条 件 概率 与 攻 
击 者 意向 综合 考虑 子路 径 可 达 性 ， 进 而 得 出 整 条 路 径 可 以 达 
到 的 攻击 阶段 和 可 达 概 率 。 由 于 CVSS 中 攻击 复杂 度 hc 表示 
漏洞 的 利用 率 ， 根 据 2.1 节 的 分 析 ， 结 合 CVSS 中 攻击 复杂 
度 hc 各 属性 的 取 值 , 可 以 得 出 不 同 能 力 等 级 的 攻击 者 对 漏洞 
的 利用 率 P(Ac,An_abi) 的 取 值 ， 如 表 2 所 示 。 

表 2 基于 能 力 等 级 的 漏洞 利用 率 量 化 值 
Tab.2 Quantitative value of vulnerability utilization based on capacity level 
P(Ac, Att _abi) 


Ac 


Att_abi=low medium high 

低 0.56 0.63 0.71 

中 0.49 0.56 0.63 

高 0.41 0.49 0.56 
依据 表 2 给 出 的 漏洞 利用 率 的 取 值 方 法 ， 给 出 计算 漏洞 


可 用 性 的 公式 : 


Vul(v)=2x Avx P(Ac, Att _abi)x Au (8) 
其 中 4v 表示 CVSS 中 漏洞 v 的 攻击 途径 ，Au 表示 CVSS 中 
漏洞 的 认证 指标 ， 即 利用 漏洞 发 起 攻击 所 需 的 认证 次 数 。 
P(Ac,Att_abi) 表示 在 已 知 漏洞 复杂 度 hc 取 值 和 攻击 者 攻击 
能 力 44_abi 的 前 提 下 得 出 的 漏洞 利用 率 的 取 值 。 对 于 一 个 漏 


< 


使 用 可 达 概率 量化 攻击 成 功 时 单个 状态 节点 受到 威胁 的 
可 能 性 。 原 子 攻 击 相关 的 子路 径 使 用 ">a 习 ”表示 ， 设 攻击 
4 利用 漏洞 "发 起 攻击 ，» 是 期 望 通过 攻击 占有 的 资源 节点 ， 
" 是 发 起 攻击 所 需 前 提 资 源 集合 ， 结 合 攻击 者 意向 ， 对 于 原 
子 攻击 ， 子 路 径 ” ”4 的 可 达 概 率 : 


Pua(ri—>a—> m=Vu(yv)xx(a) 


(9) 
定义 10 路 径 可 达 概 率 假设 路 径 PATH 的 路 径 序 列 
Sedg={<ma><am> <amm>l 可 以 拆 分 为 数 条 子路 径 ， 每 条 
子路 径 对 应 一 次 原子 攻击 过 程 ， 设 子路 径 表 示 为 "了 了 a7， 
路 径 可 达 概 率 公式 如 下 : 
P(PATH)=TI[P,(R > ay) 
ee (10) 
= [Vul(v: )xx(a)] 
2.3.2 路 径 预 测算 法 
基于 2.3.1 节 中 路 径 可 达 概 率 的 计算 方法 ， 本 文 设计 了 
路 径 预测 算法 (IntenAbi-PathPre)， 通 过 计算 子路 径 可 达 概 率 
消除 元 余 的 攻击 路 径 ， 然 后 筛选 出 可 达 概 率 最 高 的 路 径 即 为 


洞 来 说 ，Yw 值 越 小 , 利用 该 漏洞 发 起 的 攻击 行为 的 难度 越 大 。 


攻击 


其 


D0 oO J oo UU PW DL Pc 


TI 忌 、 


相应 
于 效 


3 
3.1 
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者 优先 考虑 的 路 径 。 


攻击 意向 K(a) 。 


for each Path, sePath 
Pkd(Pathi )=1 


路 径 预 测算 法 
: 攻击 图 中 攻击 路 径 集合 Path， 攻 击 边 《4， 
Vulv) ， 
出 : 预测 路 径 U_Path。 
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for each eePath, // 遍 历 路 径 中 的 边 
if( ee )// 如 果 当 前 边 是 攻击 边 
R; = pre(Doti) , a= Dot, , 1; = Dot, 


Pua(Ri— ar)= Vul(v)x x(e) 


if( Re 一 4 一 站 < ) 


6 =false 
delete Path, 
break 

else $6;=true 


end if 


Pa (Path,) = Pa (Pathi)x Pa (R: 一 4 一方) 


end if 
end for 


end for 


order Path, in Path by Py 


U_Path 一 Path 
return U_Path 
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xj) 的 漏洞 利用 率 


算法 第 3~14 行 对 路 径 中 的 各 边 进行 遍历 。 其 中 4~6 行 


示 如 果 当 前 边 代 表 攻 击 ， 
意向 ， 结 合 两 者 得 出 子路 径 可 达 概 率 。 第 7-10 行 表示 如 果 
子路 径 可 达 概 率 小 于 阔 值 ， 那 么 攻击 者 放弃 攻击 该 路 径 ， 将 


那么 计算 漏洞 利 ) 


路 径 从 路 径 集中 删除 。 


] 率 和 动态 的 攻 


第 11~13 行 表 示 如 果 可 达 概 率 大 
值 ， 那 么 将 子路 径 可 达 概 率 累 乘 得 出 子路 径 所 属 路 径 可 


实验 验证 与 分 析 
实验 网 络 环境 


如 图 2 所 示 ， 实 验 网 络 分 为 两 个 区 域 : 


率 。17~19 行 表示 在 所 有 路 径 的 可 达 概 率 计 算 完 成 后 ， 
E 级 排序 ， 优 先 级 越 高 


路 径 越 有 可 能 被 攻击 者 选择 ， 其 结果 供 网 络 管理 员 参 考 。 


DMZ 区 和 Inside 


区 , 使 


Hil。 
H3 ， 
使 用 
网 络 
机 HH 
内 部 
访问 


Inside 


防火 墙 将 不 同 区 域 隔离 。 DMZ 
区 有 4 台 服 务 器 ,分别 是 Ftp 服务 器 H2， 主 机 


区 有 1 台 网 络 服务 器 


主机 H4， 数 据 库 服务 器 H5 。 在 小 型 局 域 网 中 ， 入 侵 者 
主机 HO 远程 访问 目标 网 络 。DMZ 区 的 Hl 可 以 与 外 部 


相连 ， 


也 可 以 访问 Inside 网 络 中 的 FTP 服务 器 H2、 主 


3 和 主机 H4。Inside 区 不 能 被 外 部 网 络 直接 访问 ，Inside 
FTP 服务 器 H2、 主 机 H3 可 以 访问 H4， 主 机 H4 可 以 


数据 库 服务 器 H5。 


B 印 :人 入侵 者 


Inside 


Wy 


了 本: 了 tp 服务 器 


多 :主机 1 


图 2 


防火 培 1 由 :网 络 服务 器 


下 


出 :主机 2 虞 : 惑 据 符 服 务 器 


网 络 结构 图 


Fig.2 Network structure 
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表 3 漏洞 信息 与 攻击 编号 对 照 表 


Tab.3 Vulnerability information and attack number contrast 


服务 器 ”服务 编号 攻击 编号 。 Ac 

Hl Telnet CVE-2016-7115 al low 

i CVE-2018-19999 a2 low 

VE-2013-1324 a3 mid 

Windows CVE-2011-0638 a4 high 

SSH CVE-2018-1000805 a5 low 

FTP CVE-2018-19999 a6,a7,a8 mid 

HTTP CVE-2019-7228 a9 low 

HS SQL CVE-2019-1010201 al0 low 
各 主机 运行 服务 名 称 及 对 应 漏洞 如 表 3 所 示 。Ac 为 
CVSS 中 相应 漏洞 的 复杂 度 ， 攻 击 编号 表示 利用 相应 漏洞 发 


起 的 攻击 编号 。 
3.2 ”实验 过 程 


给 出 网 络 配置 信息 ， 利 ) 


攻击 图 生成 工具 MulVal 绘制 


的 攻击 图 如 图 3 所 示 。 根 据 绘制 好 的 网 络 攻击 图 ， 生 成 攻击 


目标 为 主机 H5 的 所 有 路 径 ， 


H5。 路 径 信息 如 表 4 所 示 。 


路 径 中 复杂 度 最 高 的 攻 了 
击 省 能 为 为 高 等 。 
PATH4 以 外 的 其 他 路 径 ， 那 么 3 


由 于 PATH 中 攻击 a3 复杂 
al,a7,a10 复杂 度 都 是 低 等 ,根据 式 (1), 沿 着 该 路 径 发 起 攻击 
所 需 能 力 为 中 等 ， 如 果 攻 击 者 选择 该 条 路 径 ， 那 么 攻击 者 能 
力 就 为 中 等 。 同 理 ， 如 果 攻 击 者 选择 PATH3 或 PATH4， 整 个 


一 共有 7 条 路 径 可 以 到 达 主 机 


3 次 攻击 


Ftp(HLH?) 


得 十 a4， 且 


如 果 攻 击 者 选择 了 除 PATH'I、 
改 击 者 能 力 为 低 等 。 


User(H3) 


其 复杂 度 为 高 等 ， 那 么 攻 


PATH3 和 


Http(HLHJ) 
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统 的 警报 信息 ， 得 到 攻击 耗 时 ， 然 后 与 公式 中 其 他 参数 一 起 
代入 到 攻击 意向 分 析 公 式 中 计算 。 
3.3 实验 结果 分 析 

首先 分 析 时 间 衰 减 系 数 对 攻击 意向 的 动态 影响 。 根 据 式 
(6)， 时 间 因 子 fi 的 变化 情况 如 图 4 所 示 ,， 在 时 间 消 耗 合理 (0- 
60 min) 的 情况 下 ， 时 间 因 子 取 值 的 变化 比较 小 ， 总 体 趋 近 于 
1, 对 攻击 者 意向 的 制约 较 小 , 所 以 在 其 他 参数 不 变 的 情况 下 
攻击 者 意向 相对 强烈 。 当 攻击 消耗 的 时 间 超 过 合理 区 间 时 并 
逐渐 增多 时 ， 有 了 非常 明显 的 下 降 趋势 ， 直 到 消耗 时 间 达 到 
120 分 钟 左右 的 时 候 已 经 下 降 到 一 个 非常 低 的 值 ， 并 且 随 着 
时 间 继 续 增 加 ， 攻 击 意向 仍 在 缓慢 下 降 。 


T(min) 


图 4 


时 间 因子 取 值 变化 
Fig.4 Change of time factor 
经 过 反复 实验 ， 将 攻击 意向 的 阔 值 设 为 0.2。 由 于 路 径 
PATH3 中 的 子 攻击 a8 耗 时 大 约 110min， 导 致 时 间 衰 减 系数 
降 到 0.17， 从 而 攻击 意向 降 为 0.16， 小 于 闵 值 ， 所 以 攻击 者 
放弃 该 条 路 径 。 路 径 PATH5 上 的 子 攻击 a8 耗 时 也 比较 长 ， 
大 约 100min， 时 间 衰 减 系数 降 到 了 0.2， 攻 击 者 的 攻击 意向 
降 为 0.14, 所 以 PATH5 也 被 攻击 者 放弃 。 通 过 引入 时 间 衰 减 
系数 ， 有 效 实 现 了 对 已 有 路 径 的 优化 。 
其 次 ， 攻 击 意向 不 仅 受 到 攻击 耗 时 的 影响 ， 同 时 也 受到 
攻击 者 能 力 的 影响 。 选择 PATHS 的 攻击 者 能 力 为 低级 , 而 选 
择 PATH3 的 攻击 者 能 力 为 高 级 。 根据 式 (4), 能 力 等 级 越 低 ， 
能 力 系数 取 值 越 高 ， 能 力 因 子 取 值 越 大 。 根 据 式 (7)， 能 力 因 
子 越 大 ， 对 攻击 造成 风险 的 影响 越 小 ， 操 作 带 来 的 风险 就 越 
高 。 因 此 选择 PATHS 的 攻击 者 发 动 攻击 a8 时 付出 的 代价 比 


较 高 ， 在 PATH5 中 a8 时 间 衰 减 系数 略 高 于 PATH3 中 a8 的 
前 提 下 ， 攻 击 者 对 PATHS5 的 意向 反而 比 PATH3 还 要 略 低 。 
SQL(E4H 引 表 5 PATHI1 计算 信息 表 
Tab.5 PATHI1 computational information 
原子 攻击 (Hl,al) (H2,a3) (H4,a7) (H5,a10) 
成 功 概率 0.89 0.79 0.71 0.89 
攻击 意向 0.89 0.85 0.89 0.92 
图 3 网 络 攻击 图 累积 概率 0.789 0.529 0.332 0.271 
Fig.3 Network attack graph 表 6 PATH6 计算 信息 表 
表 4 路 径 信 息 表 Tab.6 PATH6 computational information 
Tab.4 Path information table 原子 攻击 (Hl,al) (H3,a5) (H4,a9) (H5,al0) 
名 称 路 径 成 功 概率 0.79 0.79 0.63 0.79 
PATH (HL1,al) 一 (H2,a3) 一 (H4,a7) 一 (H5,al0) 攻击 意向 0.81 0.73 0.73 0.87 
PATH。， (HL1,al) 一 (H2,a2) 一 (H4,a7) 一 (H5,al0) 累积 概率 0.639 0.368 0.168 0.115 
PATH 3 (H1,al)—(H3,a4)—(H4,a8)—(H5,a10) 以 PATH1 和 PATH6 为 例 说 明 单 条 路 径 可 达 概 率 的 计算 
PATH4 (Hl,al)—(H3,a4)—(H4,a9)—(H5,a10) 过 程 。 这 两 条 路 径 的 第 一 步 攻 击 和 最 后 一 步 攻 击 是 相同 的 ， 
PATHs (Hl,al)—(H3,a5)—(H4,a8)—(H5,a10) 但 是 由 于 选择 PATHI1 的 攻击 者 能 力 为 中 等 ，PATH 6 的 攻击 
PATH (HLal) 一 (H3,a5) 一 (H4,a9) 一 (H5,al0) 者 能 力 为 低 等 PATH1 中 这 两 次 单 步 攻击 的 成 功 概 率 和 攻击 
PATH (Hl,al)—(H4,a6)—(H5,a10) 意向 都 要 略 高 于 PATH3。 在 单 步 攻击 耗 时 均 合 理 的 情况 下 虽 


以 主机 的 重要 程度 为 依据 ， 将 H1、H3 和 H4 的 资产 价 
值 定 为 40，H2 的 资产 价值 为 30，HS5 的 资产 价值 为 60。 根 


据 专家 经 验 取 能 力 系数 为 0.5。 式 (4) 中 的 调节 因 


上 


的 时 间 衰 减 因 子 通 过 预先 的 样本 训练 得 出 。 


子 和 式 (7) 中 


通过 入 侵 检 测 系 


然 攻击 者 能 力 一 致 ， 攻 击 所 得 的 收益 与 承担 风险 的 比值 不 相 
同 ， 所 以 攻击 者 对 同一 条 路 径 中 的 各 个 单 步 攻 击 的 意向 也 不 
相等 。 对 于 单 步 攻 击 而 言 ， 收 益 比 例 相对 较 高 的 攻击 者 意向 
就 会 相对 强烈 。 
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设 P1 是 未 引入 攻击 者 能 力 、 攻 击 耗 时 和 攻击 意向 时 计 
算 的 路 径 可 达 概 率 结果 , P2 是 根据 提出 的 改进 算法 得 出 的 路 
径 可 达 概 率 。 根 据 表 4 给 出 的 攻击 图 中 所 有 路 径 的 信息 ， 分 
别 在 Pl 和 P2 下 计算 各 路 径 的 可 达 概 率 ， 结 果 如 图 5 所 示 。 


- 


图 5 Pl1、P2 下 各 路 径 可 达 概 率 对 比 
Fig.5 Comparison ofreachability probability ofeach path under Pl and P2 
从 图 5 中 可 以 看 出 ，P1 下 可 达 路 径 一 共 7 条 ， 但 是 P2 
下 可 达 路 径 减 少 到 5 条 ， 这 是 因为 2.3.2 节 提 出 的 IntenAbi- 
PathPre 算法 对 路 径 的 优化 作用 。 根据 前 面 的 具体 分 析 ， 由 于 
PATH3 和 PATHS 的 攻击 意向 值 低 于 闵 值 ， 优 化 后 这 两 条 路 
径 被 攻击 者 舍弃 ,减少 了 不 同 路 径 重合 混淆 的 几率 ， 使 路 径 
可 达 概 率 图 更 加 清楚 简洁 。 
此 外 , P1 下 不 同 路 径 中 各 节点 的 可 达 概 率 取 值 相差 比较 
小 ,在 H4 点 及 以 后 各 路 径 已 经 混淆 在 一 起 ， 管 理 员 识 别 危 
险 路 径 的 难度 明显 增加 。 但 在 P2 中 , 在 可 达 概 率 的 计算 方法 
中 融入 攻击 者 能 力 和 攻击 者 意向 之 后 ， 对 于 各 路 径 来 说 ， 虽 
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率 的 影响 ， 使 结果 更 加 准确 地 反映 出 攻击 耗 时 对 于 攻击 行为 


的 影响 情况 。 


攻击 代 
资产 价 


价 的 数 


互 


素 如 漏洞 本 身 
击 者 能 力 等 动 


b) 路 径 可 达 概 率 量化 有 效 性 
文献 [20] 提 出 的 代价 -收益 模 
模型 都 用 于 评估 子路 径 的 攻击 可 


拉 


的 属性 


对 


二 


值 ， 这 些 数 据 都 是 静态 的 ， 
间 发 生 的 动态 变化 对 于 路 径 可 达 性 


用 


比 
型 与 本 文 的 攻击 意向 量 
性 。 其 中 代价 -收益 模型 中 
据 来 源 是 NVD 漏洞 数据 库 ， 收 益 数 据 来 源 于 
不 能 刻画 出 攻击 场景 随时 
的 影响 。 本 文 提出 的 方法 


化 


对 影响 路 径 可 行 性 的 因素 考虑 更 
， 资 产 价 值 等 ， 


态 医 


TANS 


此 外 , 文献 [20] 


系 。 


加 


办 


全 面 ， 不 仅 包含 了 静态 因 
也 包含 了 攻击 耗 时 和 攻 


相当 于 将 所 


与 目 


仍 «EE 


在 计算 路 径 可 达 概 率 时 , 规定 
可 达 概 率 等 于 所 有 直接 和 间接 父 节 点 


运算 中 的 “与 


性 ， 对 于 路 径 


”运算 。 但 这 种 方法 适合 于 训 


的 


标 节点 


的 可 达 概 率 递 归 相 乘 ， 
标 节 点 相连 的 路 径 的 可 达 性 概率 
估 各 节点 的 安全 


收 了 逻辑 


预测 来 说 ， 概 率 累 乘 方 法 计算 出 的 路 径 可 达 概 


率 偏 高 ， 并 且 


路 径 与 路 径 之 间 可 达 性 的 差 吕 


条 [1] > 


员 浊 


一 条 路 径 攻 击 


的 可 达 概 率 分 别 计算 ， 通 过 横向 


率 ， 从 而 得 出 攻击 者 最 有 可 能 攻 
为 的 一 般 规律 。 


比 


E 更 小 ， 


使 得 管理 


| 断 出 风险 路 径 的 难度 增 大 。 实 际 上 攻击 者 一 般 只 会 选择 
， 而 本 文 根 据 IntenAbi-PathPre 算法 对 


路 径 


较 路 径 上 各 节点 的 可 达 概 


和 的 路 径 ， 更 加 符合 攻击 行 


然 路 径 可 达 概 率 的 值 不 同 程度 地 减 小 了 ， 但 是 可 达 概 率 的 变 c) 预 测 准确 性 对 比 

化 趋势 反而 比较 平缓 ， 不 同 路 径 之 间 可 达 概 率 的 差异 更 加 分 为 了 说 明 使 用 本 文 方法 预测 攻击 路 径 的 准确 性 ， 进 行 了 

明 。 尽 管 在 H4 和 H5 位 置 可 达 概 率 的 数值 已 经 比较 低 , 但 是 。” 多 次 实验 ， 模 拟 攻 击 过 程 并 采集 相关 数据 ， 然 后 将 得 到 的 数 

路 径 间 差距 非常 明显 , 显然 可 以 看 出 PATH2、PATH4 两 条 路 。 据 输 入 到 预测 模型 当中 。 并 与 文献 [20] 和 [16] 的 预测 结果 对 比 ， 

径 的 攻击 概率 更 大 ， 并 且 虽 然 选 择 这 两 条 路 径 攻击 的 攻击 者 。 实验 结果 如 下 : 

能 力 都 比较 强 ， 路 径 之 间 可 达 概 率 差 异 仍然 明显 。 此 外 ， 虽 表 7 路 径 预 测 性 能 对 比 

然 利 用 路 径 PATH7 进攻 的 攻击 者 能 力 为 低 , 但 是 其 入 侵 节 点 Tab.7 Comparison of predicted performance 

H5 的 成 功 概 率 仅 次 于 PATH2 和 PATH4， 也 是 网 络 管理 员 需 实验 次 数 文献 [20] 文献 [16] 本 文 

要 防范 的 对 象 。 50 90.30% 92.50% 94.10% 

3.4 实验 结果 比较 100 92% 95.40% 97% 
为 了 进一步 验证 本 文 提出 的 基于 T_NAG 模型 的 攻击 路 150 91.20% 93.80% 96.60% 

径 预 测 方法 的 有 效 性 ， 查 阅 了 大 量 研究 网 络 攻击 预测 技术 的 200 94.40% 94.60% 95% 

相关 文献 。 通 过 对 比 得 知 ， 本 文 提出 的 方法 与 前 人 的 研究 成 300 93.65% 95.25% 97.59% 

果 在 模型 思想 与 预测 方法 上 有 本 质 区 别 。 经 过 仔细 筛选 和 分 500 95.50% 95.70% 98.40% 

析 ， 文 献 [16] 与 [20] 提 出 的 预测 方法 与 本 文 有 一 定 的 相似 性 ， 从 表 7 可 以 看 出 ， 随 着 实验 次 数 的 增多 ， 本 文 提 出 的 预 

故 从 时 间 变 量 作用 效果 、 路 径 可 达 概 率 量 化 有 效 性 和 预测 ; 测 方法 准确 率 逐 渐 上 升 , 并 且 相 比 于 文献 [20] 和 [16] 仍 有 提升 ， 

确 性 三 个 方面 展开 对 比 : 这 是 因为 本 方法 充分 考虑 到 路 径 之 间 的 差异 性 ， 将 风险 、 攻 
a) 时 间 变 量 作 用 效果 对 比 击 者 能 力 、 攻 击 耗 时 和 攻击 收益 作为 影响 攻击 意向 进而 影响 


对 于 PATHs 中 的 子 攻击 a8， 攻 击 耗 时 约 110min， 根 据 
本 文 提 出 的 方法 计算 出 攻击 意向 为 0.16， 所 以 攻击 者 放弃 攻 
击 节 点 从 而 路 径 PATH 不 可 达 。 而 根据 文献 [20] 的 方法 ， 攻 
击 成 本 的 值 没 有 变化 ， 不 能 体现 出 攻击 耗 时 这 一 动态 变量 对 
于 攻击 可 行 性 的 影响 。 
文献 [16] 中 使 用 时 间 增 益 补偿 率 量 化 时 间 的 变化 趋势 ， 
但 是 时 间 增 益 补偿 率 只 用 于 攻击 图 优化 ， 即 用 于 定性 分 析 节 
点 是 可 达 或 者 不 可 达 。 例 如 对 于 PATHI 上 的 a7 节点 ， 在 攻 
击 耗 时 40 分 钟 和 攻击 耗 时 70 分 钟 两 种 情况 下 ,根据 文献 [16] 
都 可 以 得 出 攻击 对 应 的 子路 径 是 可 达 的 。 但 是 对 于 可 达 的 节 
点 ， 文 献 [16] 的 方法 不 能 体现 攻击 耗 时 的 长 短 对 于 路 径 可 达 
概率 的 影响 程度 的 差异 。 

而 根据 本 文 提出 的 方法 ， 可 以 计算 出 攻击 耗 时 40 分 钟 
和 耗 时 70 分 钟 所 对 应 的 时 间 系 数 分 别 为 0.95 和 0.51， 时 间 
系数 影响 到 攻击 意愿 取 值 ， 从 而 相应 的 路 径 可 达 概 率 也 会 存 


在 差异 。 使 用 本 文 提 出 的 引入 了 时 间 系 数 的 攻击 者 意向 量化 
方法 ， 不 仅 可 以 定性 地 分 析 路 径 可 达 性 ， 以 达到 消除 元 余 路 


径 并 优化 攻击 图 的 目的 ， 也 可 以 量化 攻击 耗 时 对 路 径 可 达 概 


攻击 可 行 性 的 因素 统筹 考虑 ， 并 且 根据 攻 
可 利用 性 分 布 ,从 而 计算 得 | 
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